Платформа для интернет-магазинов Adobe Commerce, её модуль для корпоративных закупок B2B и свободная Magento Open Source содержат одиннадцать уязвимостей. Пять из них Adobe относит к критическим, ещё пять - к высоким, одну - к средним. Самая тяжёлая набирает 10.0 по шкале CVSS, то есть верхнюю границу, и не требует входа в систему. Исправление вышло 13 октября 2026 года в бюллетене APSB26-153 с приоритетом 2. О реальных атаках с использованием этих ошибок вендор не сообщает.
Уязвимости Adobe Commerce и Magento в бюллетене APSB26-153
Ошибки задевают ядро платформы, движок шаблонов и модуль для корпоративных покупателей. Две из них позволяют выполнить код на сервере без учётной записи, ещё одна - с правами администратора. Остальные ведут к росту привилегий, записи файлов и обходу защитных механизмов. Магазины на этих версиях хранят заказы, платёжные данные и учётные записи покупателей, поэтому контроль над сервером означает доступ ко всей коммерческой информации компании.
Выполнение произвольного кода
Первая в списке и самая тяжёлая по последствиям ошибка - CVE-2026-103849. Она относится к классу проблем в движке шаблонов. Механизм, который собирает страницы магазина из готовых заготовок, не отсекает служебные конструкции во входных данных. Злоумышленник подставляет свою конструкцию и добивается выполнения кода на сервере, где развёрнут магазин. Учётная запись при этом не нужна, а оценка упирается в верхнюю границу шкалы - 10.0.
Вторая ошибка того же класса получила 9.8. Она кроется в модуле Adobe Commerce B2B и связана с неверной проверкой прав: некорректная авторизация открывает путь к выполнению кода без аутентификации. Третья требует высоких привилегий, зато и повод весомее. Недостаточная проверка входных данных даёт 9.1, и человек с правами администратора исполняет на сервере собственный код.
Межсайтовый скриптинг и рост привилегий
Четыре уязвимости относятся к межсайтовому скриптингу в сохранённом виде. Вредоносный сценарий попадает на страницы магазина и срабатывает в браузере других пользователей, включая сотрудников с расширенными правами. Две такие ошибки оцениваются в 9.3: вход в систему для них не нужен, но жертва должна сама открыть заражённую страницу. Итог - повышение привилегий в панели управления магазином.
Ещё две ошибки того же типа идут дальше. Одна даёт выполнение кода, другая - рост привилегий; оценки 8.7 и 8.1. Обе требуют учётной записи и действия пользователя, однако позволяют перейти от скромных прав к полному контролю над административной панелью. Сотрудник открывает страницу, подготовленную злоумышленником, и выполнение сценария проходит для него незаметно.
Запись в файловую систему и обход защиты
Уязвимость с оценкой 8.7 позволяет записать произвольный файл на диск сервера. Права нужны высокие, но результат весомый: через записанный файл злоумышленник закрепляется в системе и готовит почву для следующих шагов. Ещё две ошибки в модуле B2B связаны с неправильной авторизацией и дают обход защитного механизма - 8.3 и 7.2. Вторая из них не требует входа в систему, поэтому годится для первичного сканирования и разведки.
Замыкает список средняя по оценке уязвимость 4.3. Она раскрывает небольшой объём информации и требует учётной записи. Однако в связке с остальными ошибками помогает уточнить конфигурацию магазина перед атакой.
Версии с исправлениями и дополнительное обновление
Adobe закрывает все перечисленные ошибки в сборках с пометкой 2026-oct. Для Adobe Commerce и Magento Open Source это выпуск 2.4.9-2026-oct, для модуля B2B - 1.5.3-2026-oct. Прежние ветки получили собственные сборки: 2.4.8, 2.4.7, 2.4.6, 2.4.5 и 2.4.4 для Adobe Commerce, 2.4.8 и 2.4.7 для Magento Open Source. Магазинам на более старых версиях стоит запланировать переход на актуальную ветку.
Вместе с октябрьским обновлением нужно применить ещё одно исправление. 7 сентября 2026 года Adobe закрыла критическую по классификации вендора уязвимость CVE-2026-75650 в тех же продуктах. Без этого шага часть поверхности атаки остаётся открытой.
Торговые платформы остаются удобной целью: там лежат данные о покупателях и платежах, а витрина магазина открыта всему интернету. Две самые тяжёлые ошибки в Adobe Commerce не требуют учётной записи. Поэтому каждая неделя без обновления повышает вероятность компрометации. Пока сведений о реальных атаках нет. Публикация бюллетеня делает технические детали доступными широкой аудитории, и это обычно сокращает время до появления эксплойтов (вредоносного кода, использующего уязвимость).
Ссылки
